waf安全防护策略

WAF 的有效性不取决于“开了多少规则”，而取决于策略是否匹配业务流量、能否观测误报、是否具备回滚与调优闭环。若关键接口误拦截不可控，或日志无法定位请求，应先解决可观测性与放行机制，再扩大拦截范围。

明确防护边界与部署模式

先回答三个问题：WAF 保护哪些域名、路径和 API？流量是否经过 WAF？源站能否被绕过？ 常见模式包括反向代理、透明桥、云 WAF 和插件。判断标准是：能获取真实客户端 IP，并正确处理 `X-Forwarded-For`；源站只允许 WAF 回源，避免直接暴露；对延迟、TLS 卸载和大文件上传有压测结论。 执行步骤：列出资产清单；标注登录、支付、上传、查询等敏感接口；确定观察模式先上线；记录基线延迟与误报。注意，不要只依赖 IP 黑名单，NAT 和代理会放大误伤。

规则策略：从观察到拦截

初始策略建议“观察加告警”，覆盖 SQL 注入、XSS、命令注入、路径穿越、文件包含、SSRF、恶意文件上传等。判断标准：观察一个完整业务周期，包括活动、发布和爬虫高峰；关键接口误拦截为零，非关键接口误拦截可人工放行。 步骤：

1. 启用基础规则集，记录命中但不拦截；
2. 按规则 ID、URL、参数聚类分析；
3. 对确认误报添加精确例外，而非关闭整组规则；
4. 对确认攻击的规则切换为拦截，并设置告警。

注意：规则更新后先灰度，保留旧版本回滚。

白名单与例外的最小化

适用场景：内部调用、支付回调、健康检查、第三方 webhook、已知扫描器。判断标准：例外范围是否可限定到 IP、URL、方法、参数和时间窗口；是否有人负责到期复核。 步骤：从日志提取真实请求特征；只放行必要维度，禁止全站放行；设置有效期和负责人；每月复核无流量例外并清理。注意，白名单过宽会形成盲区，应记录变更原因和审批。

速率限制与 Bot/API 防护

适用场景：登录、短信、验证码、查询、下单、导出和公开 API。维度可组合：IP、账号、设备指纹、URI、会话。判断标准：阈值参考历史峰值和业务容忍度；先观察不拦截，确认误伤可控再启用挑战或阻断。 执行建议：

• 登录和短信：按账号加 IP 双维度限速，配合验证码；
• 查询和导出：按账号和 URI 限速，限制单次返回量；
• API：校验方法、Content-Type、参数大小和 schema，拒绝未在文档中声明的字段；
• Bot：区分搜索引擎、监控探针和恶意爬虫，避免误伤 SEO 与无障碍访问。

注意：NAT 出口会导致大量用户共享 IP，纯 IP 限速需谨慎。

日志、告警与调优闭环

没有日志和告警，WAF 很难持续有效。应记录时间、请求 ID、源 IP、域名、URI、方法、规则 ID、动作、命中片段和响应码。判断标准：能否在 5 分钟内定位一次误拦截或攻击事件；告警是否分级且有人响应。 调优步骤：

1. 每日查看拦截 Top URL 和规则；
2. 区分攻击、扫描、误报和业务异常；
3. 误报加例外并回归测试；
4. 攻击确认后补充自定义规则；
5. 每周输出简短报告，记录变更。

出现大面积误拦截时，优先切观察模式或回滚最近规则，而不是直接关闭 WAF。应急流程为：确认影响面，保留证据，降级或回滚，修复规则，灰度验证，复盘。变更建议在低峰窗口进行，每次只改一类规则，保留配置版本，关键变更双人复核。日志可能含敏感信息，需脱敏、限权和设定保留期。 WAF 策略的核心是业务可用性优先、逐步收紧、持续调优。先建立资产清单与日志基线，再用观察模式验证规则，通过最小化白名单、组合限速和 API 校验降低风险。每次变更都要可回滚、可解释、可复核，才能让防护策略长期有效。